|
이 웜은 네트워크 공유 또는 이메일을 통해전파된다.
[메일 제목]
다음 리스트에서 선택 된다.
*Hot Movie*
A Great Video
Arab sex DSC-00465.jpg
eBook.pdf
Fw: DSC-00465.jpg
Fw: Funny :)
Fw: Picturs
Fw: Real show
Fw: SeX.mpg
Fw: Sexy
Fwd: Crazy illegal Sex!
Fwd: image.jpg
Fwd: Photo
give me a kiss
Miss Lebanon 2006
My photos
Part 1 of 6 Video clipe
Photos
Re: Sex Video
School girl fantasies gone bad
[메일 내용]
다음 리스트에서 선택 된다.
>> forwarded message
Fuckin Kama Sutra pics
Helloi attached the details.
Hot XXX Yahoo Groups
It''s Free :)
Note: forwarded message attached. You Must View This Videoclip!
Please see the file.
Re: Sex Video
Thank you
The Best Videoclip Ever
VIDEOS! FREE! (US$ 0,00)
What?
forwarded message attached.
hello,
how are you?
i just any one see my photos.
i send the details.
i send the file.
ready to be FUCKED ;)
the file i send the details
[첨부파일]
파일 이름 은 다음 리스트에서 선택 된다.
007.pif
3.92315089702606E02.UUE
392315089702606E-02,.scR
392315089702606E-02,UUE{spaces}.scR
677.pif
Adults_9,zip.sCR
ATT01.zip.sCR
Attachments00.HQX
Attachments001.BHX
Attachments[001],B64.sCr
Attachments[001].B64
Clipe,zip.sCr
document.pif
DSC-00465.pIf
eBook.PIF
eBook.Uu
image04.pif
New Video,zip
New_Document_file.pif
Original Message.B64
photo.pif
Photos,zip.sCR
School.pif
SeX,zip.scR
Sex.mim
Video_part.mim
WinZip,zip.scR
WinZip.BHX
WinZip.zip.sCR
Word XP.zip.sCR
Word.zip.sCR
Word_Document.hqx
Word_Document.uu
[웜이 발송한 메일의 예]
[특징]
웜이 실행되면 다음과 같이 윈도우 폴더(win 2000, NT : C:\Winnt, win XP C:\Windows)와 윈도우 시스템 폴더(win 2000, NT : C:\Winnt\system32, win XP : c:\windows\system32)
에 Rundll16.exe(95,690 Byte), WINZIP_TMP.exe(95,690 Byte), scanregw.exe(95,690 Byte), Update.exe(95,690 Byte), Winzip.exe(95,690 Byte) 파일을 생성한다.
또한, 다음처럼 레지스트를 수정하여 다음 부팅시 실행되도록 조작한다.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
항목에
ScanRegistry = "scanregw.exe /scan"
을 생성한다.
그리고 다음과 같은 레지스트리 키에
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
다음과 같은 값이 있으면 삭제 한다.
APVXDWIN
AVG7_CC
AVG7_EMC
AVG7_Run
AVG_CC
Avgserv9.exe
BearShare
DownloadAccelerator
KAVPersonal50
McAfeeVirusScanService
NAV Agent
OfficeScanNT Monitor
PCCClient.exe
PCCIOMON.exe
PccPfw
Pop3trap.exe
SSDPSRV
ScanInicio
TM Outbreak Agent
Vet Alert
VetTray
avast!
defwatch
kaspersky
pccguide.exe
rtvscn95
tmproxy
vptray
그리고 다음과 같은 폴더에 있는 dll, exe 파일을 삭제한다.
C:\Program Files\Alwil Software\Avast4
C:\Program Files\BearShare
C:\Program Files\DAP
C:\Program Files\Grisoft\AVG7
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal
C:\Program Files\McAfee.com\Agent
C:\Program Files\McAfee.com\VSO
C:\Program Files\McAfee.com\shared
C:\Program Files\Morpheus
C:\Program Files\NavNT
C:\Program Files\Norton AntiVirus
C:\Program Files\Symantec\Common Files\Symantec Shared
C:\Program Files\Symantec\LiveUpdate
C:\Program Files\Trend Micro\Internet Security
C:\Program Files\Trend Micro\OfficeScan
C:\Program Files\Trend Micro\OfficeScan Client
C:\Program Files\Trend Micro\PC-cillin 2002
C:\Program Files\Trend Micro\PC-cillin 2003
그리고 다음과 같은 문자열을 가지고 있는 윈도우를 종료한다.
antivirus
fix
kaspersky
mcafee
norton
removal
scan
symantec
trend micro
virus
그리고 웜은 다음과 같은 확장자를 갖는 파일을 매달 3일 32 Byte 파일로 겹쳐쓰기때문에
다음과 같은 확장자의 파일은 32 Byte 크기의 파일로 변경된다.
dmp
doc
mdb
mde
pdf
pps
ppt
psd
rar
xls
zip
변경된 파일의 내용은 다음과 같다.
DATA Error [47 0F 94 93 F4 K5]
그리고 다음과 같은 레지스트리의 값을 생성해 웜 자신을 숨긴다.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
ShowSuperHidden = "dword:00000000" |
|
|
Home 
